Oryon Flow a Aikido Attack

1. 01

   Naprawy według wcześniejszych kryteriów

   Flow ustala kryteria na oryginale i przed dostarczeniem sprawdza bezpieczeństwo oraz prawidłowe zachowanie kandydata.

2. 02

   Laboratorium jest częścią procesu

   Flow przygotowuje aplikację i testy w tymczasowych środowiskach; w udokumentowanej konfiguracji Aikido klient dostarcza wdrożenie testowe.

3. 03

   Od dowodów do każdego wymagania

   Flow ocenia zachowane dowody i obok wyników pokazuje przewidywane zmiany techniczne wynikające ze zweryfikowanych PR-ów.

Możliwości obok siebie.

Tabela opisuje udokumentowane funkcje; nie mierzy wydajności ani jakości wykrywania. Funkcje komercyjne mogą zależeć od produktu, planu i konfiguracji.

Czego potrzebujesz	Oryon Flow	Aikido Attack
Badanie repozytorium	✓Udokumentowane Kod, pakiety, infrastruktura i działanie aplikacji połączone w jednym badaniu.	+Opcjonalne / zależne od planu Połączenie repozytoriów jest opcjonalne; dostarcza kontekstu logiki, tras i architektury aplikacji. ↗
Odtworzone środowisko testowe	✓Udokumentowane Odtwarza aplikację z oryginalnego repozytorium w tymczasowych, izolowanych środowiskach.	—Nieudokumentowane w tym zakresie Udokumentowane przygotowanie wymaga środowiska testowego i kont dostarczonych przez klienta. ↗
Weryfikacja ustaleń	✓Udokumentowane Niezależnie oceniona metoda dowodzenia: potwierdzone, obalone lub nierozstrzygnięte. Brak dowodu pozostaje otwartą kwestią.	✓Udokumentowane Dodatkowi agenci weryfikują każdy wynik i potwierdzają możliwość wykorzystania podatności. ↗
Poprawki poparte testami	✓Udokumentowane Izolowani kandydaci; sprawdza bezpieczeństwo i prawidłowe zachowanie przed niezależnym przeglądem.	+Opcjonalne / zależne od planu AutoFix generuje ukierunkowane zmiany; udokumentowany proces potwierdza poprawkę ponownym testem po jej wdrożeniu. ↗
Pull requesty do przeglądu	✓Udokumentowane Grupuje zmiany według przyczyny i zgodności w PR-y do przeglądu. Zespół decyduje o scaleniu.	+Opcjonalne / zależne od planu AutoFix może tworzyć PR-y do przeglądu i scalenia przez zespół; potrzebny jest kontekst kodu. ↗
Identyfikowalne dowody techniczne	✓Udokumentowane Wiąże dowody i zmiany z wymaganiami technicznymi; porównuje obecny stan z projekcją zweryfikowanych PR-ów.	✓Udokumentowane Raporty techniczne, audytowe i zarządcze, stan po naprawie oraz listy potwierdzające test. ↗
Źródło + analiza środowiska wykonawczego	✓Udokumentowane Łączy źródła, zależności, infrastrukturę i obserwacje dynamiczne w ramach tego samego badania.	↗Inny produkt z pakietu Attack korzysta z kontekstu kodu źródłowego i testów działającej aplikacji; dedykowane SAST i SCA należą do pakietu zabezpieczeń kodu. ↗
Uwierzytelnione testowanie ról	✓Udokumentowane Sprawdza legalne sesje, role i granice najemców; sesje nieosiągalne lub wygasłe pozostają lukami w zasięgu.	✓Udokumentowane Testuje granice ról, dostęp między dzierżawcami, IDOR i uwierzytelnione biznesowe przepływy pracy. ↗
Oddzielna walidacja	✓Udokumentowane Agent proponujący wniosek lub poprawkę nie zatwierdza ich samodzielnie. Osobny etap weryfikacji ocenia zachowane dowody.	✓Udokumentowane Dodatkowi agenci odtwarzają potencjalne wyniki w odniesieniu do celu przed ich zgłoszeniem. ↗
Kontrole regresji funkcjonalnej	✓Udokumentowane Przed dostarczeniem zmian porównuje dowody bezpieczeństwa, kontrole prawidłowego działania i dostępne testy funkcjonalne z oryginałem.	—Nieudokumentowane w tym zakresie Attack ponownie testuje poprawki i możliwe obejścia; w tym zakresie nie potwierdzono kontroli regresji funkcjonalnej przed dostarczeniem zmian. ↗
Poprawki zależności	✓Udokumentowane Proponowane poprawki mogą aktualizować graf zależności i dostosowywać kod aplikacji, pod warunkiem weryfikacji.	↗Inny produkt z pakietu Aktualizacje zależności i zbiorcze AutoFix są opisane w Aikido code security, poza samodzielną oceną Attack. ↗
Mapowanie wymagań technicznych	✓Udokumentowane Łączy zachowane dowody z wybranymi wymaganiami technicznymi i pokazuje bieżące pokrycie oraz pokrycie przewidywane po proponowanych zmianach. Nie jest to certyfikacja organizacji.	↗Inny produkt z pakietu Attack zapewnia raporty z audytu; szerszy pakiet dodaje raporty zgodności i integracje GRC. ↗

Zakres produktu